Categories: SicherheitVirus

45.000 infizierte Geräte: Neue Android-Malware übersteht auch Factory Reset

In den vergangenen sechs Monaten hat sich eine neue Android-Malware auf rund 45.000 Geräten eingenistet. Der xHelper genannte Schädling, der seitdem unter anderem von Malwarebytes und Symantec untersucht wurde, hat eine sehr lästige Besonderheit: Selbst wenn ein infiziertes Smartphone oder Tablet auf die Werkseinstellungen zurückgesetzt wird, kann sich xHelper erneut installieren.

Symantec fand nun heraus, dass die Schadsoftware derzeit rund 131 neue Opfer täglich findet und somit jeden Monat weitere 2400 Geräte befällt. In erster Linie soll sich xHelper in Indien, den USA und Russland verbreiten.

Die Verbreitung erfolgt laut Malwarebytes über Weiterleitungen, die Nutzer zu Websites mit Installationsdateien für Android-Apps führen und mit Anleitungen für Sideloading dazu verleiten, diese Apps auf ihren Geräten zu installieren. In diesen Apps enthaltener Code lädt schließlich xHelper herunter.

Die Analysen von Malwarebytes und Symantec ergaben zudem, dass xHelper vor allem für die Einblendung von Pop-up-Anzeigen und Spam-Benachrichtigungen benutzt wird – einem Smartphone an sich also nicht schadet. Benachrichtigungen und Anzeigen leiten Nutzer wiederum in den Play Store, um weitere Apps zu installieren, wofür die Hintermänner wiederum eine Provision erhalten.

Um seine Löschung zu verhindern, was xHelper von anderen Android-Schädlingen unterscheidet, richtet er sich als eigenständiger Dienst ein. Nutzer können die eigentliche App zwar deinstallieren, nicht aber den Dienst, der weiterhin die Funktionen der App ausführt, sprich unerwünschte Werbung einblendet.

Auch eine Löschung des xHelper-Diensts funktioniert nicht, da sich die Malware erneut installieren kann. Das schafft sie auch nach einem Factory Reset, bei dem eigentlich alle vom Nutzer erzeugten Daten, also auch Schadsoftware, entfernt werden sollten.

Unklar ist derzeit noch, wie xHelper es schafft, das Zurücksetzen auf die Werkseinstellungen zu überleben. Malwarebytes und Symantec schließen bisher lediglich aus, dass xHelper Systemdienste oder System-Apps manipuliert. Symantec hält es zudem für unwahrscheinlich, dass xHelper bereits vor der Auslieferung auf Android-Geräte gelangt.

Berichten von Nutzern zufolge ist xHelper auch in der Lage, die Einstellung für das Installieren von Apps aus unbekannten Quellen zu aktivieren. Unter Umständen sollen jedoch kostenpflichtige Versionen einiger Sicherheitsanwendungen xHelper entfernen können – anderen Usern gelang dies jedoch nicht.

Symantec geht zudem davon aus, dass xHelper kontinuierlich weiterentwickelt wird. Deswegen scheiterten Sicherheitsanwendungen immer wieder bei der Löschung der Malware.

Sorgen bereitet Malwarebytes und Symantec zudem eine bisher nicht genutzte Funktion von xHelper. Der Schädling kann nämlich weitere Apps herunterladen und installieren. Es wäre also möglich, dass Cyberkriminelle xHelper künftig nutzen, um beispielsweise Ransomware oder Banking-Trojaner einzuschleusen.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Konsolidierte und strukturierte Daten für medizinische Versorgung

Telekom und vitagroup stellen Kliniken offene Plattform zur Verfügung, die Gesundheitsdaten unabhängig von einzelnen Herstellern…

8 Stunden ago

Zahl der Webauftritte sinkt wieder

Auch 2023 war kein gutes Jahr für die Hoster von KMU-Webseiten. Erneut schlossen viele Mittelständler…

8 Stunden ago

Pwn2Own: Google verteilt Sicherheitsupdate für Chrome

Es schließt zwei schwerwiegende Lücken, die eine Remotecodeausführung erlauben. Darüber hinaus stopft Google ein kritisches…

1 Tag ago

IT-Verzicht fürs Klima – wie viele sind dazu bereit?

Der Digitalverband Bitkom hat 1.000 Deutsche danach befragt, auf welche Angebote sie aus Gründen des…

1 Tag ago

BSI warnt Microsoft-Exchange-Nutzer

Laut Bundesamt sind mindestens 17.000 Instanzen in Deutschland durch eine oder mehrere kritische Schwachstellen verwundbar.

1 Tag ago

Apple kündigt Entwicklerkonferenz WWDC 2024 für 10. Juni an

Die Veranstaltung startet wie in jedem Jahr mit einer Keynote. Apple verspricht Neuerungen für alle…

1 Tag ago